14.实验十四：Syslog配置
syslog日志服务器的配置
配置防火墙的Syslog存储到Linux Syslog服务器防火墙日志作为重要的安全审计、安全分析资料，需要保存一段时间，而防火墙本身保存日志的容量有限，可以把防火墙记录的日志存储到用Linux平台做的日志服务器,以Netscreen为例介绍怎样配置Syslog.配置Netscreen的Syslog存储到Linux Syslog服务器将ISG 防火墙(X.X.X.X)的Syslog信息存储到Syslog服务器上(Y.Y.Y.Y)，便于跟踪防火墙状态和日志检查。
一、配置Syslogd更改/etc/syslog.conf配置文件，增加以下部分：# Save Debug Message of Netscreen(Y.Y.Y.Y) to netscreen.logLocal7.* /home/log/netscreen.log将local7设备的信息存储在指定的/home/log/netscreen.log里面，通过这条配置可以将不同设备的log信息存储在不同的文件中，便于查看。
二、配置logrotateLinux中的logrotate程序用于对日志文件的轮询，可以通过限定文件的大小、时间等配置，保存多个日志文件。
更改/etc/logratate.conf文件，增加以下部分：/home/log/netscreen.log {monthlyrotate 12}将syslog中存储的文件/home/log/netscreen.log，按每月的方式保存，共保存12个文件，也就是第一个月保存为netscreen.log，到了下个月将把这个月的文件名换成为netscreen.log.1，依此类推。
三、重新启动syslogdservice syslog restart四、Netscreen 配置：>查看log的等级get event level可以看到当前的netscreen 事件等级，如：alert level 1: immediate action is requiredcritical level 2: functionality is affecteddebug level 7: detailed information for troubleshootingemergency level 0: system is unusableerror level 3: error conditioninformation level 6: general information about operationnotification level 5: normal eventswarning level 4: functionality may be affected选择你需要等级即可，这里我们选择Debug信息。
Syslog 配置介绍
Syslog 简介Syslog是一个通过IP网络允许一台机器发送事件通知信息给事件收集者（Syslog服务器或者Syslog Daemon）的协议。
换言之，就是一台机器或者设备能够被配置，使之产生Syslog 信息并且发送到一台特定的Syslog服务器/Daemon。
Syslog信息建立在UDP之上，一般Syslog信息在UDP514端口上被收集，Syslog信息的长度不大于1024字节。
由于基于UDP协议，所以当如果因为网络拥塞等情况导致信息包丢失，那么信息将不再重发，而是简单的丢失掉。
Syslog协议是在Unix系统上被创建出来的。
使用Syslog，一个远程Unix主机能够很好的跟踪另一台Unix主机。
任何应用程序都能够产生Syslog信息。
格式Syslog包的格式:一个Syslog信息主要有三部分组成。
分别是PRI，HEADER，MSG。
日志信息格式如下：<优先级>时间戳主机名模块名/级别/信息摘要:内容<priority>timestamp sysname module/level/digest:content以上格式中的尖括号（< >）、空格、斜杠（/）、冒号（:）是有效的、必须的。
输出到日志主机的日志格式的例子如下：<189>Jun 7 05:22:03 2003 Quidway IFNET/6/UPDOWN:Line protocol on interface Ethernet0/0/0, changed state to UP以下对每一个字段做详细说明。
1.优先级是优先级的意思，它由两部分组成，共一个字节，前3位是严重度（Severity），后5位是表示Facility。
优先级的计算按如下公式：facility*8+severity-1。
a) 严重度b) Facility2。
Header包括两部分：1>时间戳，它是指信息生成的日期和时间。
Syslog服务器的设置
Syslog服务器的设置
首先在一个PC上安装syslog软件。
目前syslog软件可以运行在Windows、Linux和Unix 上，请随便做一个syslog服务器。
我们推荐一个运行在Windows平台上的syslog服务器软件，kiwi-syslog。
请到下面的站点下载：
然后在防火墙上作如下设置：
Kiwi_SysLog服务器日志设置
使用Kiwi_SysLog软件可以把日志进行分类存储，如按照日志的时间进行存储。
具体的设置方法如下：
日期：yyyy-mm-dd 时间：hour
具体的设置请看“Insert AutoSplit value”
●如上图的设置，日志的记录将会是这样的：
其中D:\Logs\2004-03-14\表示每天的日志，在每天的日志中，LOG_15表示下午三点的记录，LOG_16表示下午四点的记录，依此类推。
这样就可以分别记录。
●如果要对日志进行查询、排序等工作，需要用到微软的Access数据库进行处理。
具体的操作是“文件”→“新建”→“空数据库”→“文件”→“获取外部数据”→“导入”→然后选择日志文件→选择“带分隔符”→选择“分号”→“完成”。
Syslog配置及使用简介
Syslog配置及使用简介目录Syslog配置及使用简介 (1)1.Syslog简介 (2)2.Syslog协议 (2)2.1. syslog体系结构 (2)2.2. syslog包格式 (2)3.Syslog配置 (3)3.1 概览 (4)3.2选择符 (4)3.3 动作 (4)4.C语言中的syslog (5)4.1 openlog (5)4.2 syslog (5)4.3 closelog (6)4.4 setlogmask (6)4.5例子 (6)5.参考文献 (7)1.Syslog简介Syslog常被称作系统日志，在80年代作为sendmail的一部分而发布，由于其可用性，现在已成为用来在internet中传递日志信息的事实上的标准。
这些传递日志的程序或数据库同时也被称作syslog。
Syslog是主从式的协议，syslog发送端发送一些小的文字信息到syslog 接收端，接收端根据配置文件把收到的信息进行存储或者处理，或者再次进行转发。
Syslog通常被用作系统信息管理，由于其已在大多数系统上实现，所以它可以把不同类型主机上的信息集中整合到一起。
但是它仍然有许多缺陷，表现在下面几个方面：Syslog 的传输是通过UDP或者TCP传输，安全性并不可靠。
一般可以通过ssl加密壳来完成加密；syslog的实时性不好，只能通过更改配置加以改进。
所以syslog主要用在安全性要求不高，实时性不强的地方。
2.Syslog协议syslog使用UDP协议作为它的传输层协议，其默认使用UDP端口514。
2.1. syslog体系结构syslog模糊了发送方、接收方，设备、中继以及收集器的区别，一台设备可以同时是某种日志信息的中继、也可以是另外某种信息的收集器，同时可以作为发送者发送日志：●发送方发送日志信息至某个主机，并不知道这台主机会如何处理这些日志。
●发送方可以通过配置，把同一条日志同时发送给多个接收者。
syslog配置
local0----local7
本地用户信息
2、重要级：
重要级是选择条件的第二个字段，它代表消息的紧急程度。
按严重程度由低到高排序：
debug
不包含函数条件或问题的其他信息
info
提供信息的消息
none
没有重要级，通常用于排错
notice
具有重要性的普通条件
warning
预警信息
err
阻止工具或某些子系统部分功能实现的错误条件
crit
阻止某些工具或子系统功能实现的错误条件
alert
需要立即被修改的条件
emerg
该系统不可用
不同的服务类型有不同的优先级，数值较大的优先级涵盖数值较小的优先级。如果某个选择条件只给出了一个优先级而没有使用任何优先级限定符，对应于这个优先级的消息以及所有更紧急的消息类型都将包括在内。比如说，如果某个选择条件里的优先级是“warning”，它实际上将把“warning”、 “err”、“crit”、“alert”和“emerg”都包括在内。
配置文件中每行表示一个项目，格式为：facility.level action
由两个部分组成:
第一部分：选择条件（可以有一个或者多个条件），分为两个字段。
第二部分：操作动作；
1、选择条件
选择条件本身分为两个字段，之间用一个小数点（.）分隔。前一字段是一项服务，后一字段是一个优先级。选择条件是对消息类型的一种分类，这种分类便于 人们把不同类型的消息发送到不同的地方。在同一个syslog配置行上允许出现一个以上的选择条件，但必须用分号（;）隔开。
3、操作动作
Syslog命令手册
Syslog命令手册目录1简介 (3)2配置命令 (3)3典型配置 (10)4附件 (11)1简介Syslog是一种工业标准的协议，可用来记录设备的日志。
路由器、交换机等网络设备中，系统日志（System Log）记录系统中任何时间发生的大小事件。
管理者可以通过查看系统记录，随时掌握系统状况。
日志文件保存了系统中所发生事件的详细记录，这些记录称作日志文件或消息文件。
可以通过查阅日志文件来确定系统当前状态、观察入侵者踪迹、寻找某特定程序(或事件)相关的数据。
同时，由于守护进程并不拥有控制终端，因此无法将进程运行信息输出显示，因此会向相应的日志文件中写入记录。
而系统内核本身也会将一些系统信息写入相应的日志文件。
由此，构成日志文件的主要内容。
终端支持日志本地查询和过滤，支持访问日志，包括终端的登录记录、企业内部资源访问记录（SSL VPN）、管理配置操作记录等。
支持安全日志，包括外部攻击记录、告警信息记录等。
支持日志生成后上报到syslog服务器。
日志文件管理方面支持日志文件写入等级设置，只有日志等级高于此限制的信息才记入到日志文件。
2配置syslog3典型配置配置说明：host# con t //进入接口配置模式host(config)# log server addr 202.103.66.23 //日志服务器的IP地址host(config)# log server enable //将日志记录到syslog服务器host(config)# log server port 514 // <1-65535> Syslog server port host(config)#log server enablehost(config)#ip route 0.0.0.0/0 202.111.101.49 //配置路由信息host(config)# show log-config //可查看配置syslog服务器的相关信息。
syslog和trap配置方式指南
数据网主流设备配置指南各厂商syslog配置的事件级别以及local设置见下表：厂商event级别local设置Juniper info 1cisco warning 2华为warning 3港湾warning 5一CISCO设备1.1设置IOS设备（路由器）在IOS的Enable状态下，敲入config terminal 进入全局配置状态Cdp run 启用CDP(Cisco Disco very Protocol)snmp-server community XXXXXX ro 配置本路由器的只读字串为XXXXXXsnmp-server community XXXXXX rw 配置本路由器的读写字串为XXXXXX(本项目不需配置) logging on 起动log机制logging IP-address-server将log记录发送到本地采集器地址上logging facility local2 将记录事件类型定义为local2(各厂商syslog对应的local见上表所示) logging trap warning 将发送的记录事件定义为warning以上.logging source-interface loopback0 指定记录事件的发送源地址为loopback0的IP地址(如果没有设置loopback地址，则请将该IP地址指向提供给综合网管的管理地址)service timestamps log datetime 发送记录事件的时候包含时间标记保存配置,完成cisco下IOS操作系统设备的syslog和snmp配置。
1.2设置CatOS设备（交换机）在CatOS的Enable状态下，敲入set interface sc0 VLAN ID IP address 配置交换机本地管理接口所在VLAN ID，IP地址，子网掩码Set cdp enable all 启用CDPset snmp community read-only XXXXXX 配置本交换机的只读字串为XXXXXXset snmp community read-write-all XXXXXX 配置本交换机的读写字串为XXXXXXset logging enable 起动log机制set logging server IP-address-server将log记录发送到本地采集器地址上set logging level 4将发送的记录事件定义为warning以上.set logging server facility local2将记录事件类型定义为local2(各厂商syslog对应的local见上表所示)set logging timestamp 发送记录事件的时候包含时间标记保存配置,完成cisco下CatOS操作系统设备的syslog和snmp配置。
网络设备和主机syslog配置方法
网络设备和主机syslog配置方法Cisco网络设备的SNMP及Syslog配置参考设置IOS设备在IOS的Enable状态下，敲入config terminal 进入全局配置状态Cdp run 启用CDPsnmp-server community gsunion ro 配置本路由器的只读字串为gsunionsnmp-server community gsunion rw 配置本路由器的读写字串为gsunionsnmp-server enable traps 允许路由器将所有类型SNMP Trap 发送出去snmp-server host IP-address-server traps trapcomm 指定路由器SNMP Trap的接收者为10.238.18.17，发送Trap时采用trapcomm作为字串snmp-server trap-source loopback0 将loopback接口的IP地址作为SNMP Trap的发送源地址logging on 起动log机制logging IP-address-server 将log记录发送到10.238.18.17 (CW2K安装机器的IP地址)上的syslog serverlogging facility local7 将记录事件类型定义为local7logging trap warning 将记录事件严重级别定义为从warningl开始，一直到最紧急级别的事件全部记录到前边指定的syslog server.logging source-interface loopback0 指定记录事件的发送源地址为loopback0的IP地址service timestamps log datetime 发送记录事件的时候包含时间标记enable password ******line tty 0 4password ******login local 设置Enable口令和T elnet口令show runningcopy running start或write terminal 显示并检查配置保存配置设置CatOS设备在CatOS的Enable状态下，敲入set interface sc0 VLAN ID IP address 配置交换机本地管理接口所在VLAN ID，IP地址，子网掩码Set cdp enable all 启用CDPset snmp community read-only gsunion 配置本交换机的只读字串为publicset snmp community read-write-all gsunion 配置本交换机的读写字串为privateset snmp trap server-ip gsunion 指定交换机SNMP Trap的接收者为网管服务器，发送Trap时采用gsunion作为字串set snmp trap enable all 将全部类型的SNMP Trap发送出去set snmp rmon enable 激活交换机的SNMP RMON功能set logging server IP-address-server 将log记录发送到网管服务器的IP (CW2K安装机器的IP地址)上的syslog server set logging level 6 将记录事件严重级别定义为从informational 开始，一直到最紧急级别的事件全部记录到前边指定的syslog serverset logging server facility local7 将记录事件类型定义为local7 set logging timestamp 发送记录事件的时候包含时间标记set logging enable 起动log机制set password ******set enablepass ******设置Enable口令和Telnet口令show runningwrite terminal 显示并检查配置保存配置配置PIX设备Logging on 在PIX上面启用日志记录Snmp-server community gsunion 为PIX设备配置共同体串gsunionSnmp-server enable traps 配置PIX设备将SNMP消息发送到网管服务器Snmp-server host server-ip 在PIX设备上面配置SNMP网管服务器Logging history warning为PIX设备SNMP系统日志消息设置warning级别Syslog需要配置主机设备（SUN、HP、IBM、Windows服务器、Linux服务器等设备）和网络设备（路由器和交换机）配置方法：1.在/etc/syslog.conf文件中增加如下一行（注意中间用tab键分割）**************.6.792.停止、启动syslog如果是redhat Linux 重新启动命令：/etc/rc.d/init.d/syslog restart/sbin/init.d/syslogd stop/sbin/init.d/syslogd start说明，如果在以上路径下找不到相应文件，可以先执行ps -ef|grep sys查看已有进程的路径，从而确定当前机器syslogd文件的路径。
syslog 配置
目录目录 (1)syslog 配置 (2)第一章类UNIX系统syslog配置 (2)一、syslog.conf文件配置说明 (2)二、Syslog 服务启停： (3)三、测试产生日志 (4)第二章Windows 平台syslog配置 (4)一、安装配置 (4)二、参数说明： (4)第三章网络设备syslog配置 (4)一、配置步骤 (4)二、检验结果 (5)syslog 配置第一章类UNIX系统syslog配置一、syslog.conf文件配置说明/etc/syslog.con f文件中的一项配置记录由“选项”(selector)和“动作”(action)两个部分组成，两者间用tab制表符进行分隔。
而“选项”又由一个或多个形如“类型.级别”格式的保留字段组合而成，各保留字段间用分号分隔。
保留字段中的“类型”代表信息产生的源头，可以是：kern 由kernel产生的信息；user 由用户进程产生的信息。
对那些由程序或不在此列出的工具产生的信息，其缺省类型都是“user”;mail 邮件系统产生的信息；daemon 系统守护进程的信息，如in.ftpd、telnetd；auth 由login, su, gett y等进行身份认证时产生的信息；s yslog 由s yslogd自己内部产生的信息；lpr 行打印spooling系统的信息；news USENET 网络新闻系统的信息；uucp UUCP系统信息；cron cron和at工具信息；local0-7 保留为local使用；mark syslogd内部产生的时间戳信息；* 除mark之外的所有其它类型（此符号不可用以代表所有级别）。
保留字段中的“级别”代表信息的重要性，可以是：emerg 紧急，处于Panic状态。
通常应广播到所有用户；alert 告警，当前状态必须立即进行纠正。
例如，系统数据库崩溃；crit 关键状态的警告。
例如，硬件故障；err 其它错误；warning 警告；notice 注意；非错误状态的报告，但应特别处理；info 通报信息；debug 调试程序时的信息；none 通常调试程序时用，指示带有none级别的类型产生的信息无需送出。
syslog使用方法
syslog使用方法一、什么是syslogsyslog是一种系统日志记录协议，用于在计算机网络上发送、接收和存储系统日志消息。
它可以帮助系统管理员监控和分析系统运行状态，诊断和解决问题，以及进行安全审计。
syslog可以用于各种操作系统和设备，如Unix、Linux、Windows、路由器、交换机等。
二、syslog的基本原理syslog的基本原理是通过网络传输日志消息。
它由三个主要组件组成：发送方（syslog client）、接收方（syslog server）和日志消息（syslog message）。
1. 发送方（syslog client）：发送方负责收集系统日志消息并将其发送到接收方。
发送方可以是操作系统的日志服务，也可以是应用程序或设备的日志功能。
2. 接收方（syslog server）：接收方是用于接收和存储日志消息的服务器。
它通常由系统管理员设置并运行在网络中的一台服务器上。
接收方可以收集来自多个发送方的日志消息，并对其进行存储、过滤和分析。
3. 日志消息（syslog message）：日志消息是由发送方生成的系统日志。
它包含了记录的事件、时间戳、设备信息、日志级别等重要信息。
日志消息可以根据不同的设备和应用程序进行格式化。
三、syslog的配置和使用步骤1. 配置发送方（syslog client）：- 在发送方上找到并编辑syslog配置文件，通常是/etc/syslog.conf或/etc/rsyslog.conf。
- 添加或修改配置项以指定syslog服务器的IP地址和端口号。
例如：*.* @192.168.1.100:514。
- 保存配置文件并重启syslog服务，使配置生效。
2. 配置接收方（syslog server）：- 在接收方上安装syslog服务器软件，如rsyslog、syslog-ng 等。
- 打开syslog服务器的配置文件，通常是/etc/syslog.conf或/etc/rsyslog.conf。
syslog配置方法
1、编辑syslog配置文件，将相关日志告警级别设置及目标主机添加至配置文件。
2、保存、退出后重新启动syslog服务：
stopsrc -s syslogd
startsrc -s syslogd
实现脚本如下：
printf "### Following lines added by CISecurity \AIX syslog.conf\n\
log { source(src); destination(d_udp); };
重新启动syslog-ng服务
#/etc/init.d/syslog-ng restart
实现脚本如下：
Syslog:
printf "### Following lines added by CISecurity \Linux syslog.conf\n\
*.info;mail.none\t\t@10.1.1.70
*.emerg;*.alert;*.crit;*.err;*.warning;*.notice;*.info;*.debug;mail.none\t\t@10.1.1.70\n" >> /etc/syslog.conf
stopsrc -s syslogd
打开Windows命令提示符（开始－>运行 输入CMD）
C:\>evtsys –i –h 10.1.1.70
#（日志服务器的IP地址）
-i 表示安装成系统服务
-h 指定log服务器的IP地址
如果要卸载evtsys,则：
net stop evtsys
evtsys -u
启动该服务:
syslog详解及配置远程发送日志和远程日志分类
syslog详解及配置远程发送⽇志和远程⽇志分类syslog详解及配置远程发送⽇志和远程⽇志分类1、⽇志协议syslog# 1.1、syslog简介 完善的⽇志分析系统应该能够通过多种协议（包括syslog等）进⾏⽇志采集并对⽇志分析，因此⽇志分析系统⾸先需要实现对多种⽇志协议的解析。
其次，需要对收集到的海量⽇志信息进⾏分析，再利⽤数据挖掘技术，发现隐藏再⽇志⾥⾯的安全问题。
Syslog再UNIX系统中应⽤⾮常⼴泛，它是⼀种标准协议，负责记录系统事件的⼀个后台程序，记录内容包括核⼼、系统程序的运⾏情况及所发⽣的事件。
Syslog协议使⽤UDP作为传输协议，通过514端⼝通信，Syslog使⽤syslogd后台进程，syslogd启动时读取配置⽂件/etc/syslog.conf，它将⽹络设备的⽇志发送到安装了syslog软件系统的⽇志服务器，Syslog⽇志服务器⾃动接收⽇志数据并写到指定的⽇志⽂件中。
# 1.2、syslog⽇志格式syslog标准协议如下图： Syslog消息并没有对最⼩长度有所定义，但报⽂的总长度必须在1024字节之内。
其中PRI部分必须有3个字符，以‘<’为起始符，然后紧跟⼀个数字，最后以‘>’结尾。
在括号内的数字被称为Priority（优先级），priority值由Facility和severity两个值计算得出，这两个值的级别和含义见表1-1和表1-2。
下⾯是⼀个例⼦：<30>Oct 1020:30:10 fedora auditd [1780]: The audit daemon is exiting▶“<30>”是PRI部分，即Priority（优先级），取值范围0~191。
▶“Oct 10 20:30:10 fedora”是HEADER（报头部分）。
▶“auditd [1780]: The audit daemon is exiting”是MSG（信息）部分。
Syslog配置及使用简介
Syslog配置及使用简介目录Syslog配置及使用简介 (1)1.Syslog简介 (2)2.Syslog协议 (2)2.1. syslog体系结构 (2)2.2. syslog包格式 (2)3.Syslog配置 (3)3.1 概览 (4)3.2选择符 (4)3.3 动作 (4)4.C语言中的syslog (5)4.1 openlog (5)4.2 syslog (5)4.3 closelog (6)4.4 setlogmask (6)4.5例子 (6)5.参考文献 (7)1.Syslog简介Syslog常被称作系统日志，在80年代作为sendmail的一部分而发布，由于其可用性，现在已成为用来在internet中传递日志信息的事实上的标准。
这些传递日志的程序或数据库同时也被称作syslog。
Syslog是主从式的协议，syslog发送端发送一些小的文字信息到syslog 接收端，接收端根据配置文件把收到的信息进行存储或者处理，或者再次进行转发。
Syslog通常被用作系统信息管理，由于其已在大多数系统上实现，所以它可以把不同类型主机上的信息集中整合到一起。
但是它仍然有许多缺陷，表现在下面几个方面：Syslog 的传输是通过UDP或者TCP传输，安全性并不可靠。
一般可以通过ssl加密壳来完成加密；syslog的实时性不好，只能通过更改配置加以改进。
所以syslog主要用在安全性要求不高，实时性不强的地方。
2.Syslog协议syslog使用UDP协议作为它的传输层协议，其默认使用UDP端口514。
2.1. syslog体系结构syslog模糊了发送方、接收方，设备、中继以及收集器的区别，一台设备可以同时是某种日志信息的中继、也可以是另外某种信息的收集器，同时可以作为发送者发送日志：●发送方发送日志信息至某个主机，并不知道这台主机会如何处理这些日志。
●发送方可以通过配置，把同一条日志同时发送给多个接收者。
Syslog配置
一.Syslog系统日志应用概述syslog是Linux系统默认的日志守护进程。
默认的syslog配置文件是/etc/syslog.conf 文件。
程序，守护进程和内核提供了访问系统的日志信息。
因此，任何希望生成日志信息的程序都可以向syslog 接口呼叫生成该信息。
几乎所有的网络设备都可以通过syslog协议，将日志信息以用户数据报协议(UDP)方式传送到远端服务器，远端接收日志服务器必须通过syslogd监听UDP 端口514，并根据syslog.conf配置文件中的配置处理本机，接收访问系统的日志信息，把指定的事件写入特定文件中，供后台数据库管理和响应之用。
意味着可以让任何事件都登录到一台或多台服务器上，以备后台数据库用off-line(离线) 方法分析远端设备的事件。
通常，syslog 接受来自系统的各种功能的信息，每个信息都包括重要级。
/etc/syslog.conf 文件通知syslogd 如何根据设备和信息重要级别来报告信息。
二.syslog配置其主要的配置文件有两个：/etc/sysconfig/syslog 这里定义syslog服务启动时可加入的参数。
/etc/syslog.conf 这个是syslog服务的主要配置文件，根据定义的规则导向日志信息。
2.1设置主配置文件/etc/syslog.conf根据如下的格式定义规则：facility.level action设备.优先级动作facility.level 字段也被称为seletor（选择条件），选择条件和动作之间用空格或tab 分割开。
2.1.1 facilityfacility定义日志消息的范围，其可使用的key有：auth －由pam_pwdb 报告的认证活动。
authpriv －包括特权信息如用户名在内的认证活动cron －与cron 和at 有关的计划任务信息。
daemon －与inetd 守护进程有关的后台进程信息。
syslog与syslog服务器的配置
syslog与syslog服务器的配置服务器socketunix终端cronlinux1. 前言syslog是UNIX系统中提供的一种日志记录方法(RFC3164)，syslog本身是一个服务器，程序中凡是使用syslog记录的信息都会发送到该服务器，服务器根据配置决定此信息是否记录，是记录到磁盘文件还是其他地方，这样使系统内所有应用程序都能以统一的方式记录日志，为系统日志的统一审计提供了方便。
2. 日志格式syslog记录的日志格式为：月日时:分:秒主机名标志日志内容3. syslog编程为记录日志，通常用到3个函数，openlog(3)，syslog(3)和closelog(3)，openlog(3)和closelog(3)不是必须的，没有openlog(3)的话将用系统缺省的方式记录日志。
#include <syslog.h>void openlog( char *ident, int option, int facility)void syslog( int priority, char *format, ...)void closelog( void )openlog(3)有三个参数，第一个参数是标志字符串，也就是日志中的第5个字段，不设的话缺省取程序名称；第二个参数是选项，是下面一些标志位的组合：LOG_CONS：日志信息在写给日志服务器的同时打印到终端LOG_NDELAY：立即记录日志LOG_PERROR：把日志信息也输出到标准错误流LOG_PID：在标志字段中记录进程的PID值第三个参数是说明日志类型的，定义了以下类型：syslog(3)函数主要的是第一个参数priority，后面那些参数就是和printf(3)函数用法一样了，priority值表示该条日志的级别，日志级别分8级，由高到低的顺序为：如果openlog(3)时没有指定facility，是可以把facility的值或到priority中的，如(LOG_AUTH | LOG_INFO)，已经设置了就可以不用或了。
SYSLOG的搭建和技巧
Syslog的搭建和技巧现在的各种各样的设备：服务器、办公设备、网络设备等均支持SNMP协议，但在大部分酒店中，一般是不会单独部署HP Openview这样的专业网管软件的，一般都依靠设备自身附带的管理软件来实现，这样就会出现SNMP信息集中收集、管理的难题。
而且有些设备在冷启动后log会自动清空，不利于查询历史log。
Syslog软件是一种很好的统一收集SNMP信息的软件，在一般的网络环境中，能起到很好的辅助作用。
这里以kiwi syslog 软件为例，讲几个使用中的技巧。
（安装过程及详细配置这里就不讲了，网上可以找到很多）1、该软件有2种工作模式：基于服务模式和基于程序模式，2者的区别是基于服务的模式在OS中是作为系统的一项服务启动的，即使关闭kiwi syslog的界面窗口，仍可以在后台工作；而基于程序的模式当关闭界面窗口后也会停止运行。
故安装时建议选择第一种模式。
2、大家经常会忽略网管工作站的相关SNMP设置项，正确的设置应该首先启动SNMP Service和SNMP Trap Service两个服务，并对SNMP Service属性选项卡中的陷阱和安全进行设置。
安全选项卡中设置SNMP数据的账户名和读写权限，一般设备默认的都是”public”，如果设备的设置中进行了修改，这里也应该予以相应添加。
陷阱选项卡的设置是首先设立一个团体名，然后指定陷阱地址就可以了。
如下图所示：3、kiwi syslog软件收集的SNMP数据默认的保存方式是：以日期时间为序，在一个文件中保存所有设备的日志，每小时生成一个文件。
这样的保存方式是很不利于查询各设备的log信息的，所以在比较新的版本中增加了以设备IP地址分开保存的方式，但软件上的设置选项并未明确提示，所以一般很容易忽略掉。
应在log to files的选项卡中的保存路径和文件名选项中手工键入：\sys%IPAdd4.txt。
具体配置信息参见下图：山西相府庄园酒店赵永强。
syslog配置
大家好今天在6400 V9 9.1.2 HF7上想做个如何配置syslog－ng,把log信息可以发到远端的服务器上的试验。
第一种方法按照文档的配置后，重启syslog-ng进程，OK！第三种方法做完后，重启syslog-ng进程，会报出错误。
说destination(d_ltm,remote_server);这行报错。
重做了好几遍，还是报错误。
结果发现按照文档的配置不行，试着按照如下的方式配置则没有报错。
# local0.* /var/log/ltmfilter f_local0 {facility(local0) and level(debug..emerg);};filter f_no_audit {not match("AUDIT");};destination d_ltm {file("/var/log/ltm" create_dirs(yes));};destination remote_server {udp("x.x.x.x" port (514));//远程syslog服务器地址};log {source(local);filter(f_local0);filter(f_no_audit);destination(d_ltm);destination(remote_server);};或者按照肖勇的做法做完后重启进程也不会报错在相应的 destination 中,加一行udp("x.x.x.x" port (514)); 日志会同时发到syslog 服务器,也会在本地保存一份.如：destination d_ltm {file("/var/log/ltm" create_dirs(yes));udp("x.x.x.x" port (514))；};其它地方不用改.因为其它日志发送到 syslog 服务器会太多太乱,也没有太大的意义.需要加的地方有 :destination d_ltm {destination d_messages {destination d_console {destination d_pktfilter {destination d_bcm56xxd {。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Syslog配置
【实验名称】
Syslog配置
【实验目的】
利用RG-SNC提供的Syslog服务对设备日志进行记录。
【背景描述】
生产网络中的部分关键设备需要记录日志，但设备自身日志缓存有限，无法记录大量的设备日志，同时，对于部分日志信息需要管理员及时处理。
现在希望能够设置Syslog服务器记录设备日志，同时针对部分关键日志能够生成告警信息提醒管理员进行处理。
【需求分析】
为了记录设备日志并对特定日志生成告警，可以使用RG-SNC系统的Syslog功能记录设备日志，并通过配置模板使特定日志信息形成告警。
【实验拓扑】
【实验设备】
安装RG-SNC的PC机1台
路由器1台
【预备知识】
网络基础知识
路由器与交换机基础知识
【实验原理】
RG-SNC系统可以被配置为Syslog服务器以接收并存储网络设备发出的日志信息，RG-SNC系统能够存储的日志信息量远远大于网络设备的日志缓存，同时通过对特定的日志信息配置模板，当匹配模板的日志信息出现时，系统将生产告警，提醒管理员进行处理。
【实验步骤】
第一步：开启设备日志
为了使网络设备将日志信息发送到RG-SNC系统中，需要对设备进行如下配置：
R1(config)#logging host 192.168.1.5
R1(config)#no logging buffered 7
R1(config)#logging trap 7
系统日志分为七个等级，每个等级记录不同级别的日志信息，如下所示；
alerts Immediate action needed (severity=1)
critical Critical conditions (severity=2)
debugging Debugging messages (severity=7)
emergencies System is unusable (severity=0)
errors Error conditions (severity=3)
informational Informational messages (severity=6) notifications Normal but significant conditions (severity=5) warnings Warning conditions (severity=4) 本实验中为了方便检验实验结果开启了全部等级的日志信息，选取最低的
debugging级别可以记录所有可以记录的信息，包括系统信息、错误信息、debug
信息等等。
在实际网络中请根据需求开启，以免产生不必要的网络流量和设备负
荷。
第二步：配置Syslog模板
RG-SNC系统中可以将设备日志升级为告警事件，此时需要配置Syslog模
板。
点击页面上方“告警”链接，进入“告警”页面，在页面左侧的“告警设置”栏目中
点击“Syslog模板”链接打开“Syslog模板”页面，如下图所示；
系统中默认存在若干模板，除此之外，可以自定义Syslog模板。
点击页面右侧的“添加”链接，打开“添加Syslog模板”对话框，如下图所示；
此处进行如下设置：
模板名：Telnet未成功
模板内容：LOGIN-5-LOGIN_FAIL
级别：一般
此模板的意义是：当出现匹配模板内容的日志信息时，该日志会升级为告警，告警标题为“Telnet未成功”，告警级别为一般。
模板内容采取模糊匹配的方式，例如实际的日志信息为"*Jan 2
10:54:10:%LOGIN-5-LOGIN_FAIL: User login from vty1 (192.168.197.18) failed."，为了匹配这条日志，模板内容只需为"LOGIN-5-LOGIN_FAIL"即可满足匹配。
如果有多条模板配置一条日志，则只会匹配最先找到的模板，因此模板内容尽量使用有区分性的文字。
第三步：Syslog过期设置
在RG-SNC系统中，日志信息默认保存90天，每晚23点左右系统会自动
将已过期的Syslog记录删除。
可以通过点击页面左侧“告警设置”栏目中的“Syslog过期设置”链接，打开“Syslog过期设置”页面进行设置，如下图所示；
第四步：验证测试
登入网络设备，console或telnet均可，对设备进行任意配置或运行debug 命令，此时产生的日志信息将发送到RG-SNC系统中，可以通过点击页面左侧的“告警浏览”中的“Syslog实时监视”链接进行查看，如下图所示；
在“Syslog实时监视”监视页面中只能查看到最近的50条日志信息，如果需要查看之前的日志信息，可以点击“Syslog监视历史”链接进行查看，如下图所示：
对于匹配某一Syslog模板的日志信息，系统会将其作为告警处理，产生告警信息，请按照实验十的方法进行查看和管理。
【注意事项】
重新设置Syslog过期天数后需要在下一次系统删除过期Syslog记录时
生效。